Conformité web en Australie : DDA, Privacy Act et WCAG

Information générale, à jour à la date ci-dessus. Ce texte rapporte ce que disent les sources citées ; il ne constitue pas un conseil juridique et n’a été relu par aucun avocat. Le droit australien de la vie privée et de la non-discrimination dépend fortement de votre situation concrète — ce que vous collectez, auprès de qui, et quelles exclusions s’appliquent. Prenez ceci comme une orientation et vérifiez votre propre position avant d’agir.

La plupart des conseils de conformité qu’une entreprise australienne trouve en ligne sont des conseils européens dont on a changé les noms de lieux. C’est un problème, car le droit australien du web diffère du modèle européen sur trois points structurels : il n’existe aucune loi imposant WCAG aux sites privés, aucune règle de consentement préalable pour les cookies, et une exemption fondée sur le chiffre d’affaires sort la plupart des petites entreprises du régime de protection des données.

Rien de tout cela ne signifie qu’un site australien n’a pas d’obligations. Cela signifie que ces obligations ont une autre forme, et que copier une check-list RGPD vous fera faire un travail inutile tout en manquant ce qui engage réellement votre responsabilité.

Les deux cadres fédéraux applicables

• Accessibilité — Disability Discrimination Act 1992 (Cth). La section 24 rend illicite la discrimination fondée sur le handicap dans la fourniture de biens, services et installations. Un site est un service. L’obligation n’est pas absolue : la section 21B écarte la discrimination dont l’évitement imposerait une unjustifiable hardship, appréciée au regard de la section 11. SOCOG a invoqué ce moyen dans Maguire et l’a perdu. La mise en œuvre repose sur les plaintes, devant l’Australian Human Rights Commission.
• Vie privée — Privacy Act 1988 (Cth). Les Australian Privacy Principles régissent la manière dont les APP entities traitent les données personnelles. L’autorité est l’Office of the Australian Information Commissioner, qui dispose de véritables pouvoirs d’enquête et de sanction — mais seulement à l’égard des entités que la loi lie effectivement.

Notez ce qui manque à cette liste : il n’y a pas de directive ePrivacy australienne, ni d’équivalent australien de l’European Accessibility Act assorti d’une échéance.

Le droit des États et territoires s’ajoute aux deux. Chaque État et territoire a sa propre loi anti-discrimination comportant un volet biens et services, et la Nouvelle-Galles du Sud, Victoria et l’ACT ont une législation sur les dossiers de santé qui lie les petits prestataires de santé indépendamment de l’exemption fédérale de chiffre d’affaires. Les lignes directrices de l’AHRC le disent page 14 : elles doivent être lues avec l’ensemble du DDA et les lois anti-discrimination des États et territoires.

Accessibilité : l’obligation est le DDA, pas WCAG

La distinction compte plus qu’il n’y paraît. L’obligation pour laquelle on peut vous attraire en justice est la section 24 du DDA — la discrimination illicite. WCAG n’est pas la loi ; c’est l’étalon que le régulateur désigne lorsqu’il explique ce que la loi attend.

Cet étalon a été mis à jour récemment, et beaucoup de contenus australiens citent encore l’ancien. En avril 2025, l’Australian Human Rights Commission a publié les Guidelines on equal access to digital goods and services, qui mettent expressément à jour la World Wide Web Access: Disability Discrimination Act Advisory Note ver 4.1 de 2014. Les nouvelles lignes directrices désignent WCAG 2.2 niveau AA comme minimum. Si une check-list mentionne encore WCAG 2.0 ou cite l’Advisory Note de 2014, elle est antérieure à la doctrine actuelle.

Les lignes directrices sont prises au titre de la section 67(1)(k) du DDA et de la section 11(1)(n) de l’Australian Human Rights Commission Act 1986, et elles sont franches sur leur propre portée. La page 14 indique qu’une organisation “may not be protected from a finding of unlawful discrimination” en s’en étant prévalue. La conformité est un indice de bonne foi, pas un refuge.

La décision qui ancre tout cela est Maguire v Sydney Organising Committee for the Olympic Games (No 2) [2000] HREOCA 31, dans laquelle le site des Jeux olympiques de Sydney a été jugé discriminatoire à l’égard d’un utilisateur aveugle. Il s’agit d’une décision de la Commission (alors HREOC) et non d’un jugement, donc pas d’un précédent contraignant au sens où on le présente souvent — mais c’est l’affaire que tout le monde cite, et l’AHRC s’en prévaut dans ses lignes directrices de 2025.

Cookies : l’Australie n’est pas l’UE

Aucune règle australienne n’exige un consentement avant le dépôt d’un cookie. L’article 5(3) de la directive ePrivacy — la disposition qui produit tous les bandeaux que vous avez cliqués — n’a pas d’équivalent australien. Pas davantage l’exigence de parité entre refuser et accepter.

Ce qui s’applique, c’est le Privacy Act, et seulement lorsqu’un cookie collecte des données personnelles. L’Australian Privacy Principle 5 impose alors une information au moment de la collecte ou avant — ou, si ce n’est pas praticable, dès que possible ensuite — et l’APP 1 impose une politique de confidentialité décrivant ce que vous collectez et pourquoi. Pour des mesures d’audience ordinaires et non sensibles, ce sont des obligations de transparence et non de consentement.

Il existe une exception importante, et elle a du mordant. L’APP 3.3 exige un consentement exprès avant la collecte de données sensibles — santé, vie sexuelle, origine, religion, opinions politiques, appartenance syndicale. En juin 2026, le Privacy Commissioner l’a appliqué aux pixels de suivi dans Medmate Australia Pty Ltd [2026] AICmr 41 et Monash IVF Pty Ltd [2026] AICmr 40 : des pixels sur des sites de santé collectaient des données sensibles sur les visiteurs, et un bandeau cookies générique a été écarté comme consentement — celui-ci devait être exprès, éclairé et spécifique au pixel. Les orientations de l’OAIC de novembre 2024 sur les pixels ajoutent qu’une collecte dissimulée est vraisemblablement un moyen déloyal de collecte au sens de l’APP 3.5.

La question de savoir si un identifiant en ligne est une “personal information” est aussi plus discutée en Australie qu’en Europe. Dans Privacy Commissioner v Telstra Corporation Limited [2017] FCAFC 4, la Full Federal Court a examiné si certaines métadonnées réseau étaient des informations about an individual. Les juridictions australiennes n’ont pas simplement repris la position européenne selon laquelle une adresse IP est une donnée personnelle dans la plupart des cas — étant précisé que la Cour interprétait la définition antérieure à 2014, et que les décisions de l’OAIC de 2026 sur les pixels ont traité adresses IP, données d’appareil et URL complètes comme des données personnelles lorsqu’un visiteur pouvait être individualisé. La réponse pratique reste la même : si votre dispositif permet d’individualiser une personne, traitez la donnée comme personnelle et décrivez-la dans votre politique.

Conséquence pratique pour une PME australienne : pour des mesures d’audience ordinaires, vous n’avez probablement pas besoin d’un bandeau à l’européenne pour vos visiteurs australiens — sauf si votre suivi touche à des données sensibles, auquel cas l’APP 3.3 exige un consentement exprès qu’un bandeau générique ne fournira pas. Vous avez en revanche très probablement besoin d’une politique de confidentialité exacte, décrivant réellement le suivi que vous opérez. Et si vous servez des clients de l’UE ou du Royaume-Uni, leur droit s’applique à ces visiteurs quel que soit votre siège.

Vie privée : l’exemption des petites entreprises

La section 6D du Privacy Act exclut un small business operator de la définition d’APP entity. Le test central est le chiffre d’affaires annuel de l’exercice précédent : 3 000 000 AUD ou moins et vous êtes hors du champ de la loi. Le libellé de la section 6D(1) est “$3,000,000 or less” : la borne est inclusive, trois millions exactement restent exemptés.

Le test ne joue toutefois que dans un sens, et c’est ce que la plupart des résumés omettent. Selon la section 6D(4)(a), une entreprise n’est pas un small business operator si son chiffre d’affaires annuel a dépassé 3 000 000 AUD lors de n’importe quel exercice depuis le début de son activité. On ne peut pas repasser sous le seuil une année creuse et retrouver l’exemption.

Une entreprise exemptée ne doit aucune obligation APP — y compris aucune obligation de publier une politique de confidentialité. C’est réellement différent de l’UE, où le RGPD ne connaît aucun seuil de chiffre d’affaires et où les articles 13 et 14 lient un entrepreneur individuel comme une multinationale.

Les exclusions comptent néanmoins. Vous êtes une APP entity quel que soit votre chiffre d’affaires si vous êtes un prestataire de santé détenant des dossiers de santé, si vous divulguez des données personnelles concernant autrui contre un avantage, si vous fournissez des services au titre d’un contrat du Commonwealth ou si vous êtes un organisme de renseignement de crédit. Une entreprise peut aussi adhérer volontairement.

Une correction s’impose, car elle circule largement : le Privacy and Other Legislation Amendment Act 2024 n’a pas abrogé l’exemption des petites entreprises. L’abrogation a été reportée à une tranche ultérieure. Nous y consacrons un article distinct, car la confusion a une source précise et traçable.

Ce que nous vérifions, et ce que nous ne vérifions pas

Veracly évalue un site australien au regard de l’obligation d’accessibilité du DDA et de l’obligation de politique de confidentialité de l’APP 1. Être précis sur les limites fait partie du propos :

• Accessibilité. Nous exécutons axe-core sur la page rendue, complété par nos propres vérifications pour des critères qu’axe ne couvre pas. Les lignes directrices de l’AHRC désignent WCAG 2.2 AA, et aucun outil automatisé n’en couvre la totalité. Sur les six critères de succès de niveau A et AA ajoutés par WCAG 2.2, nous en automatisons un — 2.5.8 Target Size (Minimum). Nous ne testons pas les cinq autres : 2.4.11 Focus Not Obscured (Minimum, AA), 2.5.7 Dragging Movements (AA), 3.3.8 Accessible Authentication (Minimum, AA), 3.2.6 Consistent Help (A) et 3.3.7 Redundant Entry (A). Certains dépendent d’états d’interaction ou se trouvent derrière une authentification ; d’autres sont simplement difficiles à détecter de façon fiable. Chaque rapport australien les nomme explicitement.
• Politique de confidentialité. Nous vérifions qu’elle existe et qu’elle est accessible. Dans le jeu de règles australien, nous supprimons ce constat pour les entreprises situées au niveau ou en dessous du seuil de la section 6D, parce qu’affirmer une violation légale à l’encontre d’une entreprise qui n’a pas cette obligation serait faux. Si vous ne nous avez pas indiqué votre chiffre d’affaires, nous évaluons quand même, en assortissant le constat d’une note.
• Cookies. Nous ne signalons pas les cookies ou traceurs antérieurs au consentement comme des violations australiennes, parce qu’en droit australien un cookie antérieur au consentement n’est pas, à lui seul, une violation. Si votre site est aussi évalué au regard des règles de l’UE ou du Royaume-Uni, ils y figurent.

Un scan automatisé ne peut pas non plus vous dire si votre politique de confidentialité est exacte. Il peut dire qu’elle existe et qu’un traceur est présent ; savoir si la politique décrit honnêtement ce traceur relève du jugement humain.

Un ordre de travail réaliste

1. Déterminez si vous êtes une APP entity. Chiffre d’affaires supérieur à 3 000 000 AUD l’exercice dernier ou lors de n’importe quel exercice depuis la création, ou une exclusion s’applique ? Alors le Privacy Act vous lie.
2. Si c’est le cas, publiez une politique conforme à l’APP 1 : clairement rédigée, à jour, gratuite, décrivant ce que vous collectez, pourquoi, à qui vous le divulguez — y compris des destinataires à l’étranger — et comment accéder, rectifier ou réclamer.
3. Corrigez l’accessibilité au regard de WCAG 2.2 AA. Commencez par les défauts détectables automatiquement — textes alternatifs manquants, champs non étiquetés, contraste insuffisant, ordre des titres — car ils sont les moins coûteux et les plus souvent invoqués.
4. Faites examiner par un humain les cinq critères hors de portée de l’automatisation, et vérifiez que votre politique correspond au suivi réellement en place.
5. Si vous avez des visiteurs de l’UE ou du Royaume-Uni, traitez ces obligations séparément. C’est là que les bandeaux de consentement et leurs règles de parité deviennent réels.

La situation australienne est, dans l’ensemble, moins lourde que l’européenne. Elle est aussi moins bien documentée, ce qui explique que tant de conseils locaux soient importés et faux. L’obligation du DDA est celle qui a un historique contentieux derrière elle, et c’est celle sur laquelle il vaut la peine de dépenser votre budget.